CVE-2026-33630
Publiée le 2026-09-03 · Dernière modification le 2026-09-05
Les applications utilisant la bibliothèque de résolution DNS c-ares (versions 1.32.3 à 1.34.7) sont vulnérables à une faille de corruption de mémoire lors du traitement des requêtes. Un attaquant distant peut provoquer un plantage, entraînant un déni de service, en envoyant des réponses réseau spécifiquement conçues ou synchronisées. Cette attaque est relativement facile à exécuter car elle ne nécessite ni authentification ni interaction de l'utilisateur et peut être réalisée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
c-ares is an asynchronous resolver library. From ver 1.32.3 until 1.34.7, a use-after-free / double-free in c-ares' query-completion handling. The same flaw — a query's callback being invoked while the query is still linked in the channel's internal lookup structures — is present at multiple points in the resend/finish path (timeout handling, response handling, and query dispatch). If the query, or for ares_getaddrinfo() the owning host_query, is freed as a side effect of that callback, it is then accessed and/or freed a second time. This vulnerability is fixed in ver 1.34.7.